Sandbox, Incubating, Graduated, Archived
Sandbox: experimenteller Einstieg per TOC-Abstimmung, keine Due-Diligence. Verlangt Code-of-Conduct, IP-/Governance-Policy und Adoptions-Potenzial; offiziell erst mit unterschriebenem Contribution Agreement.
Incubating: ≥3 unabhängige Adopter (Dev/Test genügt), von der TOC verifiziert (der Antrag benennt 5 bis 7 Adopter für Interviews), Security-Self-Assessment, OpenSSF Best Practices Badge (passing), TOC-Due-Diligence.
Graduated: zusätzlich ≥3 Adopter in Produktion, Maintainer aus ≥2 Orgs plus Org-Balance-Mechanismus in der Governance (seit 08/2026), Third-Party-Security-Review. Incubation und Graduation brauchen je eine TOC-Supermajority (2/3); seit 04/2026 enthält jeder Antrag eine selbst erstellte General Technical Review und eine Governance Review.
Archived: inaktiv, read-only.
Was der Reifegrad nicht sagt
Das Level misst Projekt-Governance und Adoptionsbreite, nicht Feature-Umfang, Qualität oder Eignung für deinen Stack. Sandbox kann längst produktiv laufen (k3s), ein Graduated-Projekt kann für deinen Kontext falsch sein. Level als Risiko-Signal lesen, nicht als Kaufempfehlung.